تقریباً یک دهه است که گروه‌های سایبری کره شمالی بدون در نظر گرفتن غول‌ها و استارتاپ‌های کوچک، به صنعت کریپتوکارنسی‌ها هجوم می‌آورند. اما هفته گذشته، بزرگ‌ترین دزدی تاریخ این گروه‌ها رخ داد؛ رویدادی که باعث سرقت ۶.۳۴ میلیارد دلار از کیف پول‌های بایننس شد. بایننس در گزارشی امنیتی، جزئیاتی از نحوه نفوذ هکرها و اینکه چگونه تنها در ۲۰ دقیقه اربابان پول را از بین بردند، ارائه داد.
فریب مهندسان؛ آغاز نفوذ
تحلیل‌های اولیه نشان می‌دهد که این حمله، نتیجه یک فیشینگ ساده یا یک شکست ایزوله نبود. بلکه ماه‌ها کار پشت‌پرده هکرها بود که منجر به این دزدی بزرگ شد. داستان از آنجا شروع شد که مهندسی در شرکت بایننس در دام یک مصاحبه شغلی جعلی افتاد و بدافزاری را دانلود کرد. این بدافزار پیشرفته و مبهم‌سازی‌شده، اجازه داد هکرها در شبکه شرکت حرکت کنند، از ابزارهای هوش مصنوعی داخلی سوءاستفاده کنند و در نهایت به سرویس امضای کیف پول دست یابند. با دسترسی به این سرویس، آن‌ها می‌توانستند تراکنش‌هایی را خارج از فرآیندهای استاندارد برداشت انجام دهند.
نقش گروه TraderTraitor
در حالی که بایننس مستقیماً نام گروه هکری خاصی را ذکر نکرده، اما به نسبت‌دهی FBI اشاره دارد که این حمله را به هکرهای کره شمالی، به ویژه گروه پیشرفته TraderTraitor نسبت داده است. رَیف پیلینگ، مدیر ارشد هوش تهدیدات در شرکت سیکیوریتی Sophos، می‌گوید: «تکلیک بایننس با پلن‌بُک TraderTraitor مطابقت دارد. مهاجمان صرفاً کلید کیف پول را نیدزدیدند؛ آن‌ها مهندسان را از مسیر خارج کردند، از دسترسی خود برای فهم محیط و حرکت در آن استفاده کردند و در نهایت سیستم‌های اجازه‌دهنده تراکنش را متزلزل کردند.»
پیش‌نویس حمله و پاکسازی‌های بعدی
فعالیت‌های مرتبط با این هک از ماه ژوئن امسال ردیابی می‌شود. در آن زمان، مهندسی که بایننس او را «مهندس A» می‌نامد، یک نصب Homebrew دستکاری‌شده را دانلود کرد. اگرچه این مورد شناسایی و حل شد، اما اطلاعات شخصی او در دسترس هکر قرار گرفت. در اوایل سپتامبر، مهندس دیگری (مهندس B) با یک فریب‌دهنده جعلی در پلتفرم شغلی تماس گرفت و در مصاحبه دوم، دستورالعملی دریافت کرد که شامل دانلود یک مخزن کد مخرب بود. این بدافزار شامل جابجایی ابزارهای توسعهی معتبر با نسخه‌های مخرب بود تا ارتباط با سرورهای مهاجم برقرار شود. در اواخر اکتبر، مهاجمان با دسترسی به دستگاه مهندس A و مهندس C، کنترل کیف پول‌های آن‌ها را به دست آوردند و در نهایت در ۲۹ اکتبر، حمله نهایی را با استفاده از اطلاعات ورود دزدی‌شده آغاز کردند.
- سرعت حمله: مهاجمان تنها در ۲۰ دقیقه موفق شدند اربابان پول را سرقت کنند.
- دسترسی به سرویس امضا: سوءاستفاده از سرویس داخلی امضای کیف پول، اجازه داد تراکنش‌ها خارج از روتین انجام شوند.
- منبع تهدید: گروه TraderTraitor از کره شمالی با سابقه سرقت ۱.۵ میلیارد دلاری سال گذشته.
بایننس تأکید کرد که وجوهی برای پوشش ضررها کنار گذاشته و سیستم‌های تحت تأثیر را بازسازی یا جایگزین کرده است. شرکت اعلام کرد که در سال ۲۰۲۶، ۵۷ مورد تهدید سایبری مرتبط با کره شمالی را شناسایی و مسدود کرده است.
چالش‌های پولشویی و ردیابی
اگرچه بخش قابل توجهی از وجوه دزدیده شده توسط صنایع کریپتو منجمد شد، اما هنوز میلیاردها دلار تحت کنترل هکرهاست. این گروه‌ها تلاش می‌کنند تا پول سرقت شده را به شکل قابل وصول نقد کنند. یک تحلیل از TRM Labs نشان می‌دهد که از سال ۲۰۱۷ تاکنون، حدود ۱۲ میلیارد دلار کریپتو توسط هکرهای کره شمالی سرقت شده است، نیمی از آن در سال جاری. شرکت Elliptic، یک شرکت ردیابی کریپتو، گفت که پولشویی از حمله بایننس «بسیار پیچیده» بوده و احتمالاً اتوماسیون شده است. در سه و نیم روز اول، مهاجمان حدود ۱۲,۰۰۰ کیف پول را در ۱۱ بلاکچین استفاده کردند، به معنای ایجاد تقریباً یک کیف پول جدید هر ۲۵ ثانیه و بیش از ۴۰,۰۰۰ تراکنش.
اگر پول با موفقیت پولشویی شود، احتمال تبدیل آن به وجه نقد و استفاده برای تقویت برنامه سلاح‌های هسته‌ای و سیستم‌های موشکی بالستیک کره شمالی وجود دارد. گزارش تیم پایش تحریم‌های چندجانبه می‌گوید که این گروه‌ها به شدت به بانکداری زیرزمینی چین و تسهیل‌کننده‌های متمرکز در چین متکی هستند.
نظر، سوال یا تجربه خود را درباره این مطلب با سایر کاربران اوکالا به اشتراک بگذارید.